L’IA, nouvelle arme des pirates pour piéger les salariés
Les ransomwares ne reposent plus seulement sur des failles techniques ou des logiciels malveillants. Selon un rapport 2026 de Proofpoint, l’intelligence artificielle permet surtout aux cybercriminels de rendre leurs attaques beaucoup plus crédibles, personnalisées et difficiles à détecter. Résultat : l’humain, ses identifiants et les relations de confiance deviennent la principale porte d’entrée.
Le ransomware change de visage. Longtemps associé à un logiciel qui chiffre les données d’une entreprise avant d’exiger une rançon, il devient désormais une campagne d’extorsion beaucoup plus large, fondée sur le vol d’identités, de données et sur la manipulation des utilisateurs. Tel est le principal enseignement du rapport 2026 de Proofpoint, réalisé auprès de 953 professionnels de la sécurité dans 12 pays, dont 803 avaient subi un incident au cours des douze mois précédents.
65 % des entreprises estiment que l’IA a rendu l’attaque plus efficace
L’intelligence artificielle joue un rôle central dans cette évolution. Pas forcément parce qu’elle invente de nouvelles formes d’attaque, mais parce qu’elle améliore considérablement celles qui existent déjà. Parmi les entreprises victimes, 65 % estiment que l’IA a rendu l’attaque plus efficace, dont 28 % de manière importante. Elle permet de rédiger des messages de phishing plus convaincants, d’imiter plus finement des communications professionnelles ou encore de produire rapidement de faux sites capables de tromper les salariés.
La principale faiblesse n’est donc plus seulement technique. Les liens malveillants représentent 47 % des vecteurs d’entrée cités, devant les pièces jointes malveillantes à 46 %, la collecte d’identifiants à 36 % et le piratage de messageries professionnelles à 35 %. Dans tous les cas, l’attaque repose largement sur une personne qui clique, ouvre un document, répond à un message ou valide une demande qui lui paraît légitime.
C’est précisément là que l’IA change la donne. Dans 40 % des cas, l’attaque a contourné les défenses parce qu’elle paraissait suffisamment normale pour ne pas éveiller les soupçons. Dans 38 %, un utilisateur a directement interagi avec un contenu malveillant. Les défaillances techniques arrivent derrière : 33 % des répondants évoquent une absence de détection par les systèmes de protection de la messagerie et 26 % une mauvaise configuration ou des lacunes dans les contrôles.
L'uilisateur devient lui-même un maillon de l’exécution de l’attaque
Certaines techniques illustrent particulièrement cette évolution. Avec ClickFix, l’utilisateur voit par exemple apparaître un faux message d’erreur, un faux CAPTCHA ou une fausse mise à jour. Il est ensuite invité à exécuter lui-même une commande dans Windows. Aucun fichier suspect n’a besoin d’être envoyé : l’utilisateur devient lui-même un maillon de l’exécution de l’attaque.
L’autre transformation majeure concerne l’objectif des cybercriminels. Le chiffrement des systèmes n’est plus nécessairement la finalité. Environ deux tiers des entreprises touchées ont subi une forme de vol de données. L’accès à une boîte mail ou à un compte professionnel permet ensuite de comprendre l’organisation de l’entreprise, d’identifier les relations de confiance, d’usurper une identité ou de préparer d’autres attaques.
La rançon devient ainsi un levier parmi d’autres. 54 % des entreprises victimes interrogées disent avoir payé. Mais le paiement ne garantit pas la fin de l’incident : 37 % de celles qui ont versé une première somme ont ensuite subi une deuxième demande d’extorsion. Près de 2 % ont même payé sans jamais retrouver l’accès à leurs systèmes.
33 % des entreprises françaises victimes ont payé une rançon
La France se situe toutefois nettement sous la moyenne mondiale pour le paiement : 33 % des entreprises françaises victimes ont payé une rançon, contre 54 % dans l’ensemble de l’étude. Le taux atteint 93 % aux États-Unis. En France, 28 % des entreprises signalent également une exfiltration de données sensibles et 65 % estiment que l’IA a renforcé l’efficacité de l’attaque.
Le rapport dessine donc une nouvelle bataille de la cybersécurité. Il ne suffit plus d’empêcher un logiciel malveillant d’entrer dans un réseau. Il faut désormais protéger les identités, les conversations et les relations de confiance sur lesquelles repose le fonctionnement quotidien des entreprises.
Philippe Rioux